Ведущие интернет-сервисы рассекретили пользователей

В базе данных Cryptome размещены внутренние инструкции крупнейших интернет-компаний, определяющие порядок взаимодействия сервисов с правоохранительными органами. Спецслужбам доступны персональные данные всех юзеров, в том числе тех, кто просто оставляет комментарии на сервисах, - имена, телефоны, адреса электронной почты, номера кредиток и т. д.

По запросу интернет-компании могут устанавливать наблюдение за пользователем. 22-страничная инструкция Microsoft определяет, какие данные пользователей онлайн-сервисов компании могут быть предоставлены по требованию в рамках расследования преступлений. Помимо сбора всех регистрационных данных, IP-адресов, писем в почтовых ящиках @hotmail.com, @msn.com, @live.com Microsoft аккумулирует данные электронной почты, даже если доменные имена обозначают другие страны, например .uk, .jp, .es, .de. «Компания записывает дату, время, объем загружаемой информации (фото, видео), IP-адреса пользователей сервиса блогов Microsoft Live Space, а также все данные на персон, оставивших комментарии. Все записи хранятся 90 дней. Информация на пользователей MSN накапливается в течение 60 дней», - говорится в инструкции.

«Если расследование касается игровой консоли Xbox, то компания собирает следующие данные: идентификационный номер игрока, номер кредитной карты, имя, фамилия, почтовый индекс, историю IP-соединений и другие данные, - объясняет Microsoft. - По требованию суда мы можем предоставлять архивную информацию, а также устанавливать наблюдение за пользователями сервисов до 270 дней, копируя информацию аккаунта». Как заявил директор по информационной безопасности Microsoft Россия Владимир Мамыкин, компания соблюдает законодательные требования каждой страны, где работает Microsoft. «Россия в этом случае не исключение. Мы тесно сотрудничаем с правоохранительными органами РФ. Так, например, мы предоставляем ФСБ исходные коды наших продуктов, а также проводим тренинги для сотрудников МВД, Управления «К», занимающегося расследованием кибер-преступлений. В соответствии с законом о сохранении персональных данных мы не предоставляем частной информации о людях, размещенной на наших ресурсах.

Более того, в России подобных требований нам не поступало». «Есть легальные, установленные законом каналы взаимодействия компании с государством. Любые жалобы, вопросы могут рассматриваться», - заявил в интервью Infox.ru создатель сервиса микроблогинга Twitter Джек Дорси, отвечая на вопрос о возможном сотрудничестве с разведслужбами. Платежная сеть PayPal по требованию спецслужб может выдать информацию, связанную с торговлей на интернет-аукционе eBay. «Для юридических процессов мы можем предоставить всю информацию по аккаунту PayPal, адреса, e-mail, номер карты социального страхования, используемые финансовые инструменты, IP-адреса, логи и полную информацию по трансакциям», - сообщается в инструкции eBay.

Помимо социальных сетей Facebook, MySpace необходимую правоохранительным органам информацию готов предоставить и сервис голосовой телефонии Skype. «По запросу суда Skype может предоставить регистрационные данные и e-mail пользователя, историю финансовых трансакций за год, место нахождения абонентов телефонной сети общего пользования, говоривших с пользователем Skype. Компания не ведет централизованную запись голосовой почты. Звонки, сообщения и другие контакты между абонентами Skype не вносятся в биллинг», - говорится в обращении Skype к правоохранителям (имеется в редакции).

Представитель Skype в России Евгений Григоренко заявил Infox.ru, что компания никак не комментирует происхождение этого документа. На вопрос Infox.ru о сотрудничестве Skype с российскими спецслужбами он ответил: «Skype не комментирует вопросы сотрудничества с правоохранительными органами. Как законопослушная компания, Skype сотрудничает с ними в той мере, в какой это возможно с юридической и технической точки зрения».

«Что касается иностранных компаний, которые в России не работают, то правоохранительные органы в основном надеются на добрую волю, инструментов, чтобы принудить эти компании к раскрытию информации, нет», - говорит эксперт в области телекоммуникационного права Антон Богатов, добавляя, что никогда не слышал об успешном сотрудничестве российских спецслужб и Skype. «Что касается российских компаний, то практика показывает, что правоохранители легко могут получить любую информацию. Тот, о ком эти данные собирают, никогда об этом не узнает, даже если информация будет использована ненадлежащим образом. Никакой реальной правовой защиты здесь нет», - заключает Антон Богатов.

Источник: http://www.online812.ru/2010/03/02/020/

Закон о персональных данных подвергнут масштабным уточнениям

Депутаты признали, что практика реализации Федерального закона «О персональных данных» свидетельствует о недостижении цели его принятия. В связи с эти в апреле будет рассмотрено законопроект, вносящий значительное количество поправок а этот закон.

Напомним, что суть закона сводится к установления порядка обращения с информацией о гражданах, в том числе их личной информацией о себе.

Следуя логике построения законодательного регулирования, определенной частью 3 статьи 55 Конституции Российской Федерации, и принципу определенному частью 1 статьи 24 Конституции Российской Федерации, в соответствии с которым, сбор, хранение, использование и распространение информации о частной жизни лица без его согласия не допускаются, законопроектом предлагается определить исчерпывающий перечень случаев обработки персональных данных, а также систему их нормативного правового регулирования.

В частности, законопроектом предлагается определить, что обработка персональных данных может осуществляться оператором в следующих случаях:

1) установления или реализации договорных отношений, предполагающих обработку персональных данных;

2) выполнения требований федеральных законов, определяющих случаи обязательной обработки персональных данных и (или) особенности обработки персональных данных;

3) удовлетворения собственных потребностей, предполагающее обработку персональных данных при условии, что при этом не нарушаются права субъекта персональных данных.

В зависимости от конкретного случая обработки персональных данных законопроектом предлагается установить соответствующую систему нормативного правового регулирования, отвечающую требованиям баланса интересов государства, гражданина и оператора, обрабатывающего его персональные данные.
http://taxpravo.ru/news/taxpravo/article226580812716541329832751261872902
Источник:

Приемы против виртуального лома

Электронные носители активно вытесняют из офисов бумагу. Виртуальный мир расширяет свои границы. На смену казенным прилавкам с окошком, в которое выглядывает не всегда дружелюбный клерк, приходят электронные услуги. Когда доверяешь персональные данные не просто третьему лицу, а вообще непонятно кому, становится как-то не по себе. Надежно ли защищена информация? Не придут ли к тебе завтра с криминальными целями те, кому она досталась по злому умыслу?

"Электронное правительство — часть общего проекта «Электронная Россия». Самый важный этап, который сегодня реализуется, — перевод государственных услуг в электронную форму. В крае такая работа только началась. Рабочую группу по реализации проекта возглавил вице-премьер правительства Михаил Котюков — вероятно, с его отъездом эту должность займет Виктор Томенко. Уполномоченный орган, непосредственно отвечающий за перевод госуслуг в электронный вид, — министерство экономики края

Сегодня, пока на федеральном уровне приводится в порядок нормативная база, не позволяющая в нынешнем виде беспрепятственно реализовывать проект, говорить о способах защиты информации вроде рановато. Система безопасности разрабатывается параллельно с основными мероприятиями — наверное, она будет достаточно надежной.

Администрация краевого центра начала работу в области создания системы электронных услуг раньше, чем край, здесь уже есть немалый опыт. По мнению руководителя управления информатизации и связи администрации Красноярска Андрея Карасева, перевод государственных и муниципальных услуг в электронный вид способен скорее обезопасить личную информацию о гражданах, чем подвергнуть ее дополнительным рискам.

— Сейчас, когда мы имеем дело главным образом с бумажными носителями, очень трудно предугадать — кем и как они будут использованы, — говорит Андрей Карасев. — Не секрет, что главный источник риска сегодня и в государственных, и в коммерческих структурах — инсайдеры. Но от инсайдеров вообще никто не застрахован. Однако в «бумажных» технологиях трудно отследить движение. В системе электронного правительства весь путь прохождения информации будет жестко регламентирован.

По мере развития институтов электронного документооборота, считает Карасев, будет совершенствоваться и российское законодательство. К примеру, сегодня в России нет закона, преследующего за инсайд, но если «виртуальная канцелярия» будет развиваться — а это неизбежно, — то и закон такой должен появиться. Будет расти ответственность за использование данных, сузится круг людей, которым эта информация доступна, — снизятся и риски.

В прошлом году управление проверяла Федеральная служба по техническому и экспортному контролю (ФСТЭК) — техническая контрразведка. По итогам проверки применяемые технологии признаны достаточными.

— Совсем все рассказывать я не имею права, — говорит руководитель управления, — это ведь тоже элемент защиты.

Не проторговаться

Аукционы, торги, конкурсы — все это тоже переводится в электронный вид. Нет однозначного мнения — хорошо ли это.

— Если рассуждать с точки зрения противодействия коррупции — однозначно, электронные торги — это прогресс, — говорит Андрей Карасев. — Какое самое слабое звено при проведении торгов? Физический контакт аукционера с участником. Чаще всего это приватный контакт. Электронные торги избавляют от этого риска.

По оценке заместителя руководителя краевого УФАС Олега Харченко, концептуально новая форма действительно направлена на противодействие коррупции. Однако практика показывает, что электронные торги пока не пользуются особой популярностью. Основной тренд сегодня — пустующие электронные площадки. Как поясняет замруководителя УФАС по краю, это дает еще больший простор для деятельности: торги не состоялись — значит, выбираешь первого попавшегося и заключаешь контракт по максимальной цене. Со всеми вытекающими. Единственное условие — предупреждаешь антимонопольный орган о том, что вот такой казус приключился.

— Нас слегка удручает массовость этих казусов, — говорит Олег Харченко.

Как считает Андрей Карасев, электронная форма торгов рождает риск вытеснения с рынка более состоятельного профессионально, но не желающего демпинговать за счет качества игрока. Олег Харченко подтверждает: есть прекрасная возможность перевернуть идею с ног на голову. Участник может сколько угодно раз заявляться на аукцион, каждый раз корректируя цену — именно прайс является основным критерием.

— Теоретически это на объективность выбора победителя не влияет, на практике — сколько угодно, — говорит замруководителя УФАС. — Ники, под которыми прячется заявитель, можно менять до бесконечности. Главная цель — получить деньги, а там — гори все синим пламенем.

И все же если компания заявляется на торги по-честному, она выкладывает о себе информацию коммерческого характера, которая может быть использована третьими лицами. По словам Олега Харченко, сейчас краевое УФАС пытается получить от федеральной службы разъяснения — какие способы защиты должны обязательно применяться.

— Любители промышленного шпионажа и игры в рейдерство стали активно интересоваться этими базами, — поясняет Харченко. — Пока нет никаких твердых гарантий, что эти базы не могут быть использованы в корыстных целях. Закон о защите персональных данных не спасает: изменения, внесенные в него в прошлом году, относят завершение мероприятий по криптографической и программной защите персональных данных на 1 января 2011 года. До этого времени можно резвиться.

Третьи лица

Особая ответственность за сохранность информации — на тех, кому эта информация не принадлежит, кто по роду деятельности выступает третьим лицом. Как рассказал руководитель пресс-службыУправления Федеральной службы судебных приставов (УФССП) по Красноярскому краю Андрей Кабиров, служба располагает самыми разными данными о гражданах.

— Нам постоянно приходится делать запросы по должникам в разные инстанции — от ГИБДД до регистрационной палаты, — рассказывает Кабиров. — Естественно, вся информация передается в электронном виде. Опасность ее попадания в недобросовестные руки может обернуться для должника, например, шантажом, особенно этот риск актуален для юридических лиц — информация может быть использована для срыва контрактов, можно просто парализовать деятельность фирмы.

Для эффективной защиты данных на базе существовавших отделов информатизации во всех территориальных управлениях созданы отделы под новым названием: «информатизации и информационной безопасности», с расширенными штатами. Специалисты отделов занимаются шифровкой информации с помощью специальных программ. Квалификация сотрудников растет постоянно — необходимо быть в тонусе, чтобы всегда на шаг опережать хакеров.

— Мы первые в стране в прошлом году поместили на нашем сайте функцию, благодаря которой любой желающий может уточнить — не должен ли он кому-то? — рассказывает Андрей Кабиров. — Но там нет конкретики, не указаны суммы и кредиторы — мы просто сообщаем гражданину, что он — должник. Такая информация не может быть использована.

На черный рынок регулярно выбрасываются базы данных ГИБДД, налоговой службы. Приставы такого прецедента не помнят. Да и случись он — информация, во-первых, зашифрована, во-вторых, она очень скоро устаревает.

Франчайзинговая компания «Актив Плюс» работает с базами бухгалтерского и управленческого учета клиентов, причем в основном на своей территории. В договоре о предоставлении услуг обязательно зашит пункт о конфиденциальности, его нарушение предполагает штрафные санкции. Информация хранится в специальном месте на специальном сервере, запаролена, однако и это, по мнению руководителей компании, недостаточно гарантирует ее сохранность.

— Помня о том, что существуют хакеры, просто недобросовестные сотрудники, мы решили, что информация клиентов должна быть защищена дополнительно, — рассказывает генеральный директор «Актив Плюс» Татьяна Колчанова. — Мы нашли в Интернете в открытом доступе бесплатную, но очень качественную программу шифровки данных. Теперь все данные клиентов хранятся не просто на отдельном сервере, но и в зашифрованной области.

Нюанс в том, что компания использует эту программу в буквальном смысле на свой страх и риск. Дело в том, что по российским законам необходимо получить лицензию на право шифровки данных даже о собственной деятельности. Лицензия стоит и денег, и времени на ее получение. Даже многие крупные российские компании, например банки, шифруя данные о своих клиентах с той же целью защиты, обходятся без лицензии. Однако формально, заботясь о клиенте, компания увеличивает и собственные риски, связанные с возможными претензиями со стороны закона.

Василий Казарин, Евгений Волошинский, «Вечерний Красноярск», №14 (255)

Источник: http://newslab.ru/news/article/311424

ГИБДД начала выкладывать информацию о штрафах

ГИБДД выкладывает в Сеть базу "штрафников" Региональные управления ГИБДД открывают в Интернете сервисы, позволяющие водителям узнавать о своих штрафах

Автор: Ринат Накипов Фото: ИТАР-ТАСС

Самарским водителям достаточно зайти на сайт госуслуг областного правительства и по номеру водительского удостоверения получить информацию о своих нарушениях. Здесь же можно распечатать квитанцию для оплаты штрафа.

Как пояснил замначальника регионального отдела информационного обеспечения ГИБДД ГУВД по Самарской области Евгений Шайдуллин, проект запущен в соответствии с законом, защищающим персональные данные автовладельцев. «Узнать о штрафах можно только в личном кабинете – для посторонних эта информация недоступна. На официальном сайте Госавтоинспекции работает форум, где каждый может высказать своё мнение. Конечно, есть замечания, но все нюансы отрабатываются в процессе отладки системы», – отметил он.

Онлайн-сервис «Поиск неоплаченных штрафов», кроме Самары, работает в Башкирии, Татарии, Ямало-Ненецком округе. Как пояснили в отделе пропаганды управления ГИБДД Татарии, у некоторых водителей, ознакомившихся со своими неоплаченными штрафами, возникают сомнения в обоснованности наказания. Любой желающий может их оспорить в центре видеофиксации ГИБДД.
Заместитель начальника департамента обеспечения безопасности дорожного движения МВД Владимир Кузин пояснил, что эффективность работы сервисов внимательно отслеживается. «Сроков внедрения информационных порталов мы никому не определяли, но в рамках «электронного правительства» информационные ресурсы о неоплаченных штрафах появятся во всех регионах», – пообещал Владимир Кузин.

Ведущий аналитик компании InfoWatch (специализируется на защите персональных данных) Николай Федотов отметил, что не может быть безопасным сайт, созданный с целью информирования населения, а значит, с приоритетом удобства пользования над защищённостью данных. «Если знать имя и номер удостоверения соседа, можно узнать всё о его нарушениях, – отметил он. – Но мошенникам такие данные не нужны, ведь способов украсть с их помощью деньги нет. Кроме того, раньше подобную информацию не только не секретили, но даже выставляли напоказ, присылая по месту работы или учёбы письмо с указанием совершённого правонарушения. Так что правильно поступает ГИБДД, отказываясь тратить деньги на защиту персональных данных. Лучше иметь полезный сайт, содержащий не нуждающуюся в защите информацию, чем сайт с дорогой и никому не нужной конфиденциальностью».

Источник: http://www.gudok.ru/transport/lichniy/?pub_id=346936

Казахстан определяет деструктивные сайты

Куда ни посмотри – везде одни секреты
Автор: Евгения ПЛАХИНА
29.03.2010
Журналисты, эксперты и правозащитники требуют придать огласке методику, по которой служба реагирования на компьютерные инциденты будет выявлять деструктивные сайты. Такие требования сегодня представители гражданского общества озвучили на пресс-конференции в Алматы. Методики, по их словам, необходимо обнародовать для того, чтобы как журналисты, так и простые интернет-пользователи, блогеры, которые также попадают под действие закона «Об Интернете», знали, за какую грань нельзя заступать.

Чтобы узнать, чем так беспокоит правозащитников и экспертов методика выявления деструктивных сайтов, на пресс-конференцию в Национальный пресс-клуб пришло довольно много журналистов.

Где гражданин, а где преступник?

Президент международного фонда защиты свободы слова «Адил соз» Тамара Калеева первым делом объяснила коллегам, в чем суть дела.

- Методика определения деструктивных сайтов касается не только Интернета. Это методика, которая проводит экспертизы публикаций, любых публикаций. Почему мы так взволновались? Этот вопрос не частный, этот вопрос общий, а для журналистики — принципиальный. Мы не знаем, где этот пограничный столб, который определяет, что здесь мы — законопослушные граждане, реализуем свое право на свободу мнений, а здесь мы — преступники, правонарушители, которые клевещут, подстрекают и так далее. Эти пограничные столбы спрятаны, — пояснила свою позицию г-жа Калеева.

Юридическое пояснение дал администратор Казахстанского юридического форума zakon.kz Игорь Лоскутов:

- Почему возник вопрос? У нас был принят закон «Об Интернете» в прошлом году, в соответствии с которым все интернет-ресурсы стали считаться СМИ. А в законе о средствах массовой информации уже содержалась норма о том, что главный редактор СМИ несет установленную законом ответственность за такие деяния, как пропаганда, агитация изменения конституционного строя, нарушение целостности Республики Казахстан, разжигание расового, национального превосходства, независимо от источника получения.

Служебная тайна

Попытки рассекретить эти «пограничные столбы», которыми владеет Центр судебных экспертиз, для журналистов и правозащитников обернулись пока неудачей. Как рассказал Игорь Лоскутов, Министерство юстиции, куда он обратился с соответствующим запросом, отказалось предать гласности методики определения пресловутых «деструктивных сайтов».

- Министерство юстиции отказалось помочь нам в этом деле, сославшись на то, что это служебная тайна, — рассказал он и заметил, что в действующем законодательстве такие понятия, как «для служебного пользования и «не для печати», давно отсутствуют.

Эти понятия, по его словам, присутствовали в законе «О государственных секретах», который действовал до 1999 года.

- Законом «О государственных секретах» установлена четкая процедура засекречивания: есть государственная тайна, есть служебная тайна, то есть сведения о деятельности каких-либо государственных органов. Если какой-то информации присваивается гриф «служебная тайна», проставляется специальный штамп «секретно». Никаких других грифов не предусмотрено. Когда документ или информация, с одной стороны, не секретные, а с другой стороны — прочитать их нельзя, то это то же самое, как быть немножко беременной, — сказал юрист.

- В принципе, методики по проведению судебной экспертизы никогда не составляли государственных секретов. Да и не могут они по определению быть государственной тайной, —заключил Игорь Лоскутов.

Скрывать нечего

Руководитель Общественного фонда независимых экспертиз по информационным спорам Галлия Аженова также оказалась в недоумении от того, что Министерство юстиции отказалось раскрыть эти методики.

- В последние годы мы находимся в партнерских отношениях с Центром судебной экспертизы. В некоторых случаях наши выводы по тому или иному спору оказываются практически идентичными. То есть скрывать им особенно нечего, — поделилась своим мнением г-жа Аженова.

Делать выводы о том, является ли сайт или публикация носителем деструктивной информации или нет, можно только на основании четких критериев, что тем более говорит о важности предания огласке этих методик.

- Если мы говорим: здесь нормальная статья, а здесь преступление закона, то мы должны говорить о том, как специалисты это нашли. Это нельзя делать навскидку, это нельзя делать произвольно. Это можно делать только через специальные лингвистические текстовые исследования, — отметила эксперт.

Надежда на министра?

Как рассказала Тамара Калеева, эти методики считаются секретными только в Казахстане.

- В той же России все методики — и общественные, и официальные — в открытом пользовании, — отметила она и добавила, что отказ Минюста обнародовать методики определения деструктивных сайтов вынудил их открыто обратиться к премьер-министру, министру юстиции Рашиду Тусупбекову и министру информации и связи Аскару Жумагалиеву (текст письма см. ниже).

- Министр информации и связи не владелец этих методик. Мы обращаемся к нему для того, чтобы он был в курсе. Во-вторых, он технарь и тоже имеет отношение к этой службе реагирования. Может быть, методом внутреннего взаимодействия, внутренних переговоров он как-то повлияет на разрешение этой ситуации, — добавила правозащитник.

Тамара Калеева также призвала простых пользователей и журналистов присоединиться к требованиям и отправить аналогичный запрос на блоги чиновников-адресатов. В случае если открытое обращение не возымеет своего действия, журналисты и правозащитники будут вынуждены обратиться в суд, чтобы обжаловать отказ в предоставлении информации.

Премьер-министру Республики Казахстан К.Масимову

Министру юстиции Р.Тусупбекову

Министру связи и информации и связи А.Жумагалиеву

ОТКРЫТОЕ ПИСЬМО

О необходимости рассекречивания методик,

определяющих деструктивные интернет-ресурсы

Закон Республики Казахстан «О внесении изменений и дополнений в некоторые законодательные акты Республики Казахстан по вопросам информационно-коммуникационных сетей», вступивший в силу в августе 2009 года, приравнял к средствам массовой информации все интернет-ресурсы, распространив на их владельцев и пользователей соответствующую уголовную, гражданскую и административную ответственность.

Из официальных источников известно, что Служба реагирования на компьютерные инциденты (CERT) в соответствии с этим законом уже начала работу по выявлению интернет-ресурсов деструктивного содержания. Однако критерии и методики, которые применяются для идентификации деструктивного контента этой организацией, а также правоохранительными, надзорными и судебными органами, недоступны ни владельцам интернет-ресурсов, ни редакторам веб-сайтов, ни модераторам.

На запрос компании «Юринфо» вице-министр юстиции Д.Куставлетов сообщил, что данные методики используются по конкретным судебным делам Центром судебных экспертиз Министерства юстиции, относятся к категории «для служебного пользования» и потому не могут быть обнародованы. Руководствуясь такой логикой, нужно засекретить правила дорожного движения, а водителей автотранспорта наказывать за их нарушение.

Считаем, что создавшаяся ситуация угрожает свободе слова, а засекречивание методик, квалифицирующих сообщения и материалы СМИ как противоречащие Конституции страны, является неправовым по следующим основаниям:

1. В казахстанском законодательстве в перечне материалов, содержащих государственные секреты или иную охраняемую тайну, нет категории «Для служебного пользования»;

2. Обнародование методики экспертиз безотносительно к конкретному уголовному (гражданскому) делу не может привести к разглашению судебной и следственной тайны;

3. При судебном разрешении вопроса о закрытии веб-сайта предоставленные в суд экспертные заключения являются доказательствами. Засекречивание методик и экспертных исследований в конечном итоге приведет к нарушению конституционных и процессуальных прав участников уголовных и гражданских судебных процессов, произвольности трактования их судами и, соответственно, произвольности правоприменительной практики.

Использование экспертных методик необходимо гражданскому сообществу для проведения праворазъяснительной и профилактической работы среди интернет-пользователей. Это позволит работникам СМИ, владельцам, модераторам и авторам веб-сайтов повышать культуру публикаций и предотвращать появление в Интернете материалов деструктивного содержания.

Исходя из вышеизложенного, в соответствии с международными нормами, законодательством Республики Казахстан и здравым смыслом мы требуем:

* предать гласности специальные методики исследования контента и критерии, по которым будут определяться сайты, подлежащие блокировке;
* сделать обязательными меры досудебного урегулирования, в частности, оповещение владельцев интернет-ресурсов о наличии запрещенного контента с требованием убрать его;
* обеспечить гласность и правомерность этих действий;
* информировать общественность о блокируемых сайтах и судебных разбирательствах по этому поводу;
* включить представителей гражданского сектора в рабочую группу по разработке нормативно-правовых актов, регламентирующих деятельность Службы реагирования на компьютерные инциденты.

Выражаем надежду, что новое Министерство связи и информации действительно будет, как определил президент Н.А.Назарбаев, специализироваться на «обеспечении информационной безопасности страны в тесном взаимодействии со всем журналистским сообществом». Мы к такому взаимодействию готовы.

Председатель правления Союза журналистов Казахстана Сейтказы Матаев

Администратор Казахстанского юридического форума http://forum.zakon.kz Игорь Лоскутов

Президент фонда защиты свободы слова «Адил соз» Тамара Калеева

Руководитель Общественного фонда независимых экспертиз по информационным спорам Галия Аженова

Активист кампании «За свободный Интернет» Евгения Плахина

29 марта 2010 года.

Facebook обвинен в нарушении конфиденциальности

В неуважении личной жизни блогеров обвинила Facebook министр защиты потребителей Германии Илзе Айгнер. Она выступила с резкой критикой социальной сети и призвала основателя Facebook Марка Цукерберга пересмотреть свою политику конфиденциальности. Об этом сообщает AP со ссылкой на письмо министра. Немецкий министр уточнила, что персональные данные пользователей Facebook не должны передаваться для коммерческих целей третьим лицам без ведома самих пользователей. Илзе Айгнер добавила, что в случае, если руководство ресурса не предпримет должных мер по защите частной информации, она удалит свою страничку с сайта.

Источник http://finam.fm/news/52592/

В США запретили читать почту сотрудников

В США запретить читать электронную переписку сотрудников
Мир Автор Валентина 17:26 08/04/10 Версия для печати Отправить другу
Суд штата Нью-Джерси постановил, что компания-работодатель не имела права просматривать личные письма своей сотрудницы, отправленные с офисного компьютера.
электронная переписка

В 2008 году Марина Штенгарт подала в суд иск против своего работодателя — компании Loving Care, предоставляющей услуги сиделок и медсестер. Штенгарт обвинила компанию в дискриминации по половому, религиозному и национальному признаку.

Переписку с адвокатом сотрудница вела с офисного компьютера. Для писем она использовала личный почтовый ящик на сервисе Yahoo. Ящик был защищен паролем.

Впоследствии выяснилось, что специалисты Loving Care получили доступ к почтовому аккаунту женщины и прочли ее письма. Информацию компания использовала для построения защиты на суде.

Штенгарт подала в суд второй иск — на этот раз она обвинила компанию в посягательстве на личную информацию сотрудников. Суд первой инстанции постановил, что Loving Care имела право читать письма, так как они были отосланы с корпоративного компьютера.

Женщина подала апелляцию. Во вторник Верховный суд штата Нью-Джерси постановил, что работодатель не имел права читать переписку своей бывшей сотрудницы и ее адвоката, так как ее содержание казалось не служебных, а личных вопросов.

Наказание для провинившегося работодателя суд определит позже.

Источник: http://news.siteua.org/%D0%9C%D0%B8%D1%80/141954/%D0%92_%D0%A1%D0%A8%D0%90_%D0%B7%D0%B0%D0%BF%D1%80%D0%B5%D1%82%D0%B8%D1%82%D1%8C_%D1%87%D0%B8%D1%82%D0%B0%D1%82%D1%8C_%D1%8D%D0%BB%D0%B5%D0%BA%D1%82%D1%80%D0%BE%D0%BD%D0%BD%D1%83%D1%8E_%D0%BF%D0%B5%D1%80%D0%B5%D0%BF%D0%B8%D1%81%D0%BA%D1%83_%D1%81%D0%BE%D1%82%D1%80%D1%83%D0%B4%D0%BD%D0%B8%D0%BA%D0%BE%D0%B2

Государственные базы данных

Существуют ли государственные базы данных?
Автор: Юрий Ревич
Опубликовано 05 апреля 2010 года

Совершенно запредельную по своему идиотизму историю я вычитал в казанской версии "КП". Краткое изложение: некая дама переехала из одной квартиры в другую, не погасив долг перед местным оператором за пользование стационарным телефоном в размере 2500 рублей. Судебный пристав потерял должницу, и не нашел ничего лучшего, кроме как обратиться к сотовым операторам с требованием выдать ему её номер. Сотовые операторы с возмущением отказались, за что были оштрафованы на 15 и 20 тыс. рублей по суду. В приватных беседах выяснилось, что клиентом как минимум одного из оштрафованных операторов (МТС), эта дама вообще не являлась, и он, судя по всему, отстаивал дело из принципа. Пока вся эта бодяга продолжалась, долг был погашен, но не самой дамой, а обратившимся в ГИБДД владельцем автомобиля, проданного этой гражданкой по доверенности - в случае неуплаты гаишники отказывались снимать её с учета.

На основе этой истории можно написать докторскую диссертацию, столько недоумённых вопросов она вызывает. Меня же во всем этом деле очень заинтересовал один только аспект: а как это судебный пристав потерял гражданку? У нас, если я не ошибаюсь, действует система прописки. С централизованной, вроде бы, базой данных ФМС. Разумеется, какой-нибудь скрывающийся от налогов олигарх может переехать на ПМЖ в Лондон, и тогда судебные приставы его действительно "потеряют", но случай явно из другого ряда.

Мало того, в "тырнете" все эти базы вполне доступны - не будем тыкать пальцем в конкретные ресурсы, чтобы никого не закладывать. Да, и эти базы, и те, что можно найти на пиратских прилавках, часто устаревшие и в беспорядке - так, в моей личной квартире, в которую я переехал 12 лет назад, согласно этим ресурсам, все ещё числится незнакомая мне старушка 1924 года рождения, давно, судя по всему, почившая в бозе. Подозреваю, что такой же бардак и в оригинале, с которого эти базы слиты. Но это совсем не значит, что гражданина нашей страны нельзя разыскать с помощью этих баз, тем более, если иметь к ним официальный доступ и потенциальную помощь всего государственного аппарата. Иначе зачем всё это?

Напомню, что в середине закончившегося десятилетия в России насчитывалось 18 различных ведомственных баз данных, только имеющих отношение к вопросу персонального учёта населения, и, как констатировали эксперты, все-таки не обеспечивающих полного охвата населения и информации о нём. Свои базы имеются у налоговой; в системе ЗАГС (Минюст); у ФМС (прописка); в системе здравоохранения (Минздрав); в военкоматах (Минобороны); в системе учета занятости... Трудовые мигранты могут быть зафиксированы как минимум в шести различных ведомствах: ФМС (регистрация), МВД (разрешение на въезд), Министерство образования (зарубежные и иногородние студенты); МИД (визы и приглашения); ФСБ (данные пограничной службы); ФНС (налоги). При этом даже в рамках одного ведомства нередко базы не стыкуются - как мне рассказывали, для получения сведений о разыскиваемых преступниках московской милиции нередко приходится звонить куда-нибудь в Тверь по обычному телефону.

И создается полное впечатление, что исполнителям из той же налоговой не налоги требуется взыскать, а создать видимость деятельности. Когда появились сообщения о создании на сайте ФНС услуги под названием "Личный кабинет налогоплательщика", я решил её проверить, и с изумлением обнаружил, что каждый из членов моей семьи должен государству чуть больше 60 рублей аж с 2003 года, и за это время там почти столько же набежало пени. Мы даже не смогли точно вычислить, за что именно нас запросто могли бы не выпустить за границу (правда, выпускали). Но почему бы просто не прислать своевременно счет-извещение об этом долге? Или они, как тот самый казанский пристав, нас потеряли? Так мы вроде даже местожительства не меняли так, чтобы принципиально...

И неудивительно, что весь этот бардак, как в зеркале, отразился в пресловутом законе 152-ФЗ "О персональных данных". Кажется, даже в Госдуме уже поняли, что закон в существующем виде невыполним, и ещё в декабре перенесли требование о приведении информационных систем в соответствие с этим законом ещё на год - до января 2011 года. Но за это время закон вполне может перейти в полностью вырожденное состояние.

На сайте Роскомнадзора можно найти перечень поправок, предложенных различными организациями, и среди них предложение Комитета по безопасности Госдумы (п. 50), поддержанное АПКИТ (п. 92), предлагающее резко сузить круг информационных систем, для которых требования закона обязательны к исполнению. А именно, адресовав их "операторам информационных систем, содержащих персональные данные, создаваемых в соответствии с законодательством Российской Федерации". Всем остальным предлагается существовать, "самостоятельно определяя адекватные методы и средства защиты персональных данных" в рамках уже существующих общих норм, вроде охраны банковской тайны. Это означает, как справедливо пишут обозреватели, что закон попросту будет ни о чём: сотовому оператору достаточно внести в соглашение пункт о согласии клиента с предпринимаемыми мерами (о которых этот клиент не имеет никакого представления - объяснить ему доступно все равно невозможно), и всё будет в ажуре.

Мало того, большинство и государственных баз создаются вовсе не "в соответствии с законодательством Российской Федерации", а просто по инициативе самих ведомств, которые заставляют делать это в рамках пресловутой "Электронной России" и приходящих ей на смену программ "Стратегии развития информационного общества" (на что, по некоторым ещё не озвученным официально данным, планируется до 2018 года потратить почти триллион рублей). Соответственно, под закон 152-ФЗ они не попадают, и сама его необходимость в таком виде оказывается по сомнением.

Не проще ли вместо того, чтобы указывать, как и чем защищать базы с персональными данными, банально усилить ответственность за утечку персональных данных и их распространение? В том числе и применительно к тем государственным структурам, откуда все эти данные уходят, чтобы тут же оказаться на пиратских прилавках и в интернете? При условии, что это уж так необходимо - в чём лично я сомневаюсь: если уж мне хотелось бы от кого-нибудь укрыться, так это именно от государства, а коли нельзя, так от кого ещё прятаться обычному, ни в чем не замешанному гражданину? Но допускаю, что у других может быть более трепетное отношение к своим личным данным - хоть они на голубом глазу и выкладывают всё о себе в каких-нибудь "Одноклассниках".

Между тем, из казанской истории и ряда аналогичных определенно вытекает, что укрыться от государства у нас ничего не стоит. Наверное, в том числе и террористам, устроившим трагедию в московском метро. Так зачем тогда все эти мучения с прописками и прочими бюрократическими засадами - вроде той, когда кроме номера паспорта заставляют указывать дату выдачи и выдавшую инстанцию, как будто сам номер однозначно на это не указывает? Может, и правда займёмся, наконец, информатизацией общества?

Источник: http://www.computerra.ru/own/520735/

Положение о методах и способах защиты информации в информационных системах персональных данных

Приказ Федеральной службы по техническому и экспортному контролю (ФСТЭК России) от 5 февраля 2010 г. N 58 г. Москва "Об утверждении Положения о методах и способах защиты информации в информационных системах персональных данных"
Опубликовано 5 марта 2010 г.
Вступает в силу: 16 марта 2010 г.


Зарегистрирован в Минюсте РФ 19 февраля 2010 г.

Регистрационный N 16456

В соответствии с пунктом 3 Положения об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденного постановлением Правительства Российской Федерации от 17 ноября 2007 г. N 781 (Собрание законодательства Российской Федерации, 2007, N 48, ст. 6001), приказываю:

Утвердить прилагаемое Положение о методах и способах защиты информации в информационных системах персональных данных.

Директор Федеральной службы по техническому и экспортному контролю С. Григоров

Приложение

Положение о методах и способах защиты информации в информационных системах персональных данных

I. Общие положения

1.1. Настоящее Положение разработано в соответствии с Положением об обеспечении безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденным постановлением Правительства Российской Федерации от

17 ноября 2007 г. N 781 (Собрание законодательства Российской Федерации, 2007, N 48, ст. 6001), и устанавливает методы и способы защиты информации, применяемые для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных (далее - информационные системы) государственными органами, муниципальными органами, юридическими или физическими лицами, организующими и (или) осуществляющими обработку персональных данных, а также определяющими цели и содержание обработки персональных данных (далее - оператор), или лицом, которому на основании договора оператор поручает обработку персональных данных (далее - уполномоченное лицо).

В настоящем Положении не рассматриваются вопросы обеспечения безопасности персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну, а также вопросы применения криптографических методов и способов защиты информации.

1.2. К методам и способам защиты информации в информационных системах относятся:

методы и способы защиты информации, обрабатываемой техническими средствами информационной системы, от несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого может стать уничтожение, изменение, блокирование, копирование, распространение персональных данных, а также иных несанкционированных действий (далее - методы и способы защиты информации от несанкционированного доступа);

методы и способы защиты речевой информации, а также информации, представленной в виде информативных электрических сигналов, физических полей, от несанкционированного доступа к персональным данным, результатом которого может стать копирование, распространение персональных данных, а также иных несанкционированных действий (далее - методы и способы защиты информации от утечки по техническим каналам).

1.3. Для выбора и реализации методов и способов защиты информации в информационной системе оператором или уполномоченным лицом может назначаться структурное подразделение или должностное лицо (работник), ответственные за обеспечение безопасности персональных данных.

Для выбора и реализации методов и способов защиты информации в информационной системе может привлекаться организация, имеющая оформленную в установленном порядке лицензию на осуществление деятельности по технической защите конфиденциальной информации.

1.4. Выбор и реализация методов и способов защиты информации в информационной системе осуществляются на основе определяемых оператором (уполномоченным лицом) угроз безопасности персональных данных (модели угроз) и в зависимости от класса информационной системы, определенного в соответствии с Порядком проведения классификации информационных систем персональных данных, утвержденным приказом ФСТЭК России, ФСБ России и Мининформсвязи России от 13 февраля 2008 г. N 55/86/20 (зарегистрирован Минюстом России

3 апреля 2008 г., регистрационный N 11462).

Модель угроз разрабатывается на основе методических документов, утвержденных в соответствии с пунктом 2 постановления Правительства Российской Федерации от 17 ноября 2007 г. N 781.

1.5. Выбранные и реализованные методы и способы защиты информации в информационной системе должны обеспечивать нейтрализацию предполагаемых угроз безопасности персональных данных при их обработке в информационных системах в составе создаваемой оператором (уполномоченным лицом) системы защиты персональных данных.

II. Методы и способы защиты информации от несанкционированного доступа

2.1. Методами и способами защиты информации от несанкционированного доступа являются:

реализация разрешительной системы допуска пользователей (обслуживающего персонала) к информационным ресурсам, информационной системе и связанным с ее использованием работам, документам;

ограничение доступа пользователей в помещения, где размещены технические средства, позволяющие осуществлять обработку персональных данных, а также хранятся носители информации;

разграничение доступа пользователей и обслуживающего персонала к информационным ресурсам, программным средствам обработки (передачи) и защиты информации;

регистрация действий пользователей и обслуживающего персонала, контроль несанкционированного доступа и действий пользователей, обслуживающего персонала и посторонних лиц;

учет и хранение съемных носителей информации и их обращение, исключающее хищение, подмену и уничтожение;

резервирование технических средств, дублирование массивов и носителей информации;

использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия;

использование защищенных каналов связи;

размещение технических средств, позволяющих осуществлять обработку персональных данных, в пределах охраняемой территории;

организация физической защиты помещений и собственно технических средств, позволяющих осуществлять обработку персональных данных;

предотвращение внедрения в информационные системы вредоносных программ (программ-вирусов) и программных закладок.

2.2. В системе защиты персональных данных информационной системы в зависимости от класса информационной системы и исходя из угроз безопасности персональных данных, структуры информационной системы, наличия межсетевого взаимодействия и режимов обработки персональных данных с использованием соответствующих методов и способов защиты информации от несанкционированного доступа реализуются функции управления доступом, регистрации и учета, обеспечения целостности, анализа защищенности, обеспечения безопасного межсетевого взаимодействия и обнаружения вторжений.

Методы и способы защиты информации от несанкционированного доступа, обеспечивающие функции управления доступом, регистрации и учета, обеспечения целостности, анализа защищенности, обеспечения безопасного межсетевого взаимодействия в зависимости от класса информационной системы определяются оператором (уполномоченным лицом) в соответствии с приложением к настоящему Положению.

2.3. В информационных системах, имеющих подключение к информационно-телекоммуникационным сетям международного информационного обмена (сетям связи общего пользования), или при функционировании которых предусмотрено использование съемных носителей информации, используются средства антивирусной защиты.

2.4. При взаимодействии информационных систем с информационно-телекоммуникационными сетями международного информационного обмена (сетями связи общего пользования) наряду с методами и способами, указанными в пункте 2.1 настоящего Положения, основными методами и способами защиты информации от несанкционированного доступа являются:

межсетевое экранирование с целью управления доступом, фильтрации сетевых пакетов и трансляции сетевых адресов для скрытия структуры информационной системы;

обнаружение вторжений в информационную систему, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности персональных данных;

анализ защищенности информационных систем, предполагающий применение специализированных программных средств (сканеров безопасности);

защита информации при ее передаче по каналам связи;

использование смарт-карт, электронных замков и других носителей информации для надежной идентификации и аутентификации пользователей;

использование средств антивирусной защиты;

централизованное управление системой защиты персональных данных информационной системы.

2.5. Подключение информационных систем, обрабатывающих государственные информационные ресурсы, к информационно-телекоммуникационным сетям международного информационного обмена осуществляется в соответствии с Указом Президента Российской Федерации от 17 марта 2008 г. N 351 "О мерах по обеспечению информационной безопасности Российской Федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена" (Собрание законодательства Российской Федерации, 2008, N 12, ст. 1110; N 43, ст. 4919).

2.6. Для обеспечения безопасности персональных данных при подключении информационных систем к информационно-телекоммуникационным сетям международного информационного обмена (сетям связи общего пользования) с целью получения общедоступной информации помимо методов и способов, указанных в пунктах 2.1 и 2.4 настоящего Положения, применяются следующие основные методы и способы защиты информации от несанкционированного доступа:

фильтрация входящих (исходящих) сетевых пакетов по правилам, заданным оператором (уполномоченным лицом);

периодический анализ безопасности установленных межсетевых экранов на основе имитации внешних атак на информационные системы;

активный аудит безопасности информационной системы на предмет обнаружения в режиме реального времени несанкционированной сетевой активности;

анализ принимаемой по информационно-телекоммуникационным сетям международного информационного обмена (сетям связи общего пользования) информации, в том числе на наличие компьютерных вирусов.

Для реализации указанных методов и способов защиты информации могут применяться межсетевые экраны, системы обнаружения вторжений, средства анализа защищенности, специализированные комплексы защиты и анализа защищенности информации.

2.7. Для обеспечения безопасности персональных данных при удаленном доступе к информационной системе через информационно-телекоммуникационную сеть международного информационного обмена (сеть связи общего пользования) помимо методов и способов, указанных в пунктах 2.1 и 2.4 настоящего Положения, применяются следующие основные методы и способы защиты информации от несанкционированного доступа:

проверка подлинности отправителя (удаленного пользователя) и целостности передаваемых по информационно-телекоммуникационной сети международного информационного обмена (сети связи общего пользования) данных;

управление доступом к защищаемым персональным данным информационной сети;

использование атрибутов безопасности.

2.8. Для обеспечения безопасности персональных данных при межсетевом взаимодействии отдельных информационных систем через информационно-телекоммуникационную сеть международного информационного обмена (сеть связи общего пользования) помимо методов и способов, указанных в пунктах 2.1 и 2.4 настоящего Положения, применяются следующие основные методы и способы защиты информации от несанкционированного доступа:

создание канала связи, обеспечивающего защиту передаваемой информации;

осуществление аутентификации взаимодействующих информационных систем и проверка подлинности пользователей и целостности передаваемых данных.

2.9. Для обеспечения безопасности персональных данных при межсетевом взаимодействии отдельных информационных систем разных операторов через информационно-телекоммуникационную сеть международного информационного обмена (сеть связи общего пользования) помимо методов и способов, указанных в пунктах 2.1 и 2.4 настоящего Положения, применяются следующие основные методы и способы защиты информации от несанкционированного доступа:

создание канала связи, обеспечивающего защиту передаваемой информации;

аутентификация взаимодействующих информационных систем и проверка подлинности пользователей и целостности передаваемых данных;

обеспечение предотвращения возможности отрицания пользователем факта отправки персональных данных другому пользователю;

обеспечение предотвращения возможности отрицания пользователем факта получения персональных данных от другого пользователя.

2.10. Обмен персональными данными при их обработке в информационных системах осуществляется по каналам связи, защита которых обеспечивается путем реализации соответствующих организационных мер и (или) применения технических средств.

2.11. Подключение информационной системы к информационной системе другого класса или к информационно-телекоммуникационной сети международного информационного обмена (сети связи общего пользования) осуществляется с использованием межсетевых экранов.

2.12. Программное обеспечение средств защиты информации, применяемых в информационных системах 1 класса, проходит контроль отсутствия недекларированных возможностей.

Необходимость проведения контроля отсутствия недекларированных возможностей программного обеспечения средств защиты информации, применяемых в информационных системах 2 и 3 классов, определяется оператором (уполномоченным лицом).

2.13. В зависимости от особенностей обработки персональных данных и структуры информационных систем могут разрабатываться и применяться другие методы защиты информации от несанкционированного доступа, обеспечивающие нейтрализацию угроз безопасности персональных данных.

III. Методы и способы защиты информации от утечки по техническим каналам

3.1. Защита речевой информации и информации, представленной в виде информативных электрических сигналов и физических полей, осуществляется в случаях, когда при определении угроз безопасности персональных данных и формировании модели угроз применительно к информационной системе являются актуальными угрозы утечки акустической речевой информации, угрозы утечки видовой информации и угрозы утечки информации по каналам побочных электромагнитных излучений и наводок, определенные на основе методических документов, утвержденных в соответствии с пунктом 2 постановления Правительства Российской Федерации от 17 ноября 2007 г. N 781.

3.2. Для исключения утечки персональных данных за счет побочных электромагнитных излучений и наводок в информационных системах 1 класса могут применяться следующие методы и способы защиты информации:

использование технических средств в защищенном исполнении;

использование средств защиты информации, прошедших в установленном порядке процедуру оценки соответствия;

размещение объектов защиты в соответствии с предписанием на эксплуатацию;

размещение понижающих трансформаторных подстанций электропитания и контуров заземления технических средств в пределах охраняемой территории;

обеспечение развязки цепей электропитания технических средств с помощью защитных фильтров, блокирующих (подавляющих) информативный сигнал;

обеспечение электромагнитной развязки между линиями связи и другими цепями вспомогательных технических средств и систем, выходящими за пределы охраняемой территории, и информационными цепями, по которым циркулирует защищаемая информация.

3.3. В информационных системах 2 класса для обработки информации используются средства вычислительной техники, удовлетворяющие требованиям национальных стандартов по электромагнитной совместимости, по безопасности и эргономическим требованиям к средствам отображения информации, по санитарным нормам, предъявляемым к видеодисплейным терминалам средств вычислительной техники.

3.4. При применении в информационных системах функции голосового ввода персональных данных в информационную систему или функции воспроизведения информации акустическими средствами информационных систем для информационной системы 1 класса реализуются методы и способы защиты акустической (речевой) информации.

Методы и способы защиты акустической (речевой) информации заключаются в реализации организационных и технических мер для обеспечения звукоизоляции ограждающих конструкций помещений, в которых расположена информационная система, их систем вентиляции и кондиционирования, не позволяющей вести прослушивание акустической (речевой) информации при голосовом вводе персональных данных в информационной системе или воспроизведении информации акустическими средствами.

Величина звукоизоляции определяется оператором исходя из характеристик помещения, его расположения и особенностей обработки персональных данных в информационной системе.

3.5. Размещение устройств вывода информации средств вычислительной техники, информационно-вычислительных комплексов, технических средств обработки графической, видео- и буквенно-цифровой информации, входящих в состав информационной системы, в помещениях, в которых они установлены, осуществляется таким образом, чтобы была исключена возможность просмотра посторонними лицами текстовой и графической видовой информации, содержащей персональные данные.

Приложение к Положению

Методы и способы защиты информации от несанкционированного доступа в зависимости от класса информационной системы

1. Методы и способы защиты информации от несанкционированного доступа для обеспечения безопасности персональных данных в информационных системах 4 класса и целесообразность их применения определяются оператором (уполномоченным лицом).

2. Методы и способы защиты информации от несанкционированного доступа, обеспечивающие функции управления доступом, регистрации и учета, обеспечения целостности и безопасного межсетевого взаимодействия для информационных систем 3 класса.

2.1. Для информационных систем 3 класса при однопользовательском режиме обработки персональных данных применяются следующие основные методы и способы защиты информации:

а) управление доступом:

идентификация и проверка подлинности пользователя при входе в систему информационной системы по паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов;

б) регистрация и учет:

регистрация входа (выхода) пользователя в систему (из системы) либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы;

учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета;

в) обеспечение целостности:

обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по наличию имен (идентификаторов) компонентов системы защиты персональных данных, целостность программной среды обеспечивается отсутствием в информационной системе средств разработки и отладки программ;

физическая охрана информационной системы (технических средств и носителей информации), предусматривающая контроль доступа в помещения информационной системы посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения информационной системы и хранилище носителей информации;

периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа;

наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности.

2.2. Для информационных систем

3 класса при многопользовательском режиме обработки персональных данных и равных правах доступа к ним пользователей применяются следующие основные методы и способы защиты информации:

а) управление доступом:

идентификация и проверка подлинности пользователя при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов;

б) регистрация и учет:

регистрация входа (выхода) пользователя в систему (из системы) либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы, результат попытки входа (успешная или неуспешная);

учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета;

в) обеспечение целостности:

обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по наличию имен (идентификаторов) компонентов системы защиты персональных данных, а целостность программной среды обеспечивается отсутствием в информационной системе средств разработки и отладки программ во время обработки и (или) хранения защищаемой информации;

физическая охрана информационной системы (устройств и носителей информации), предусматривающая контроль доступа в помещения информационной системы посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения информационной системы и хранилище носителей информации;

периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа;

наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности.

2.3. Для информационных систем

3 класса при многопользовательском режиме обработки персональных данных и разных правах доступа к ним пользователей применяются следующие основные методы и способы защиты информации:

а) управление доступом:

идентификация и проверка подлинности пользователя при входе в систему по паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов;

б) регистрация и учет:

регистрация входа (выхода) пользователя в систему (из системы) либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы, результат попытки входа (успешная или неуспешная), идентификатор (код или фамилия) пользователя, предъявленный при попытке доступа;

учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета с отметкой об их выдаче (приеме);

в) обеспечение целостности:

обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по контрольным суммам компонентов средств защиты информации, а целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения защищаемой информации;

физическая охрана информационной системы (устройств и носителей информации), предусматривающая контроль доступа в помещения информационной системы посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения информационной системы и хранилище носителей информации;

периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа;

наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонент средств защиты информации, их периодическое обновление и контроль работоспособности.

2.4. Безопасное межсетевое взаимодействие для информационных систем

3 класса при их подключении к сетям международного информационного обмена, а также для распределенных информационных систем 3 класса при их разделении на подсистемы достигается путем применения средств межсетевого экранирования (межсетевых экранов), которые обеспечивают:

фильтрацию на сетевом уровне для каждого сетевого пакета независимо (решение о фильтрации принимается на основе сетевых адресов отправителя и получателя или на основе других эквивалентных атрибутов);

идентификацию и аутентификацию администратора межсетевого экрана при его локальных запросах на доступ по идентификатору (коду) и паролю условно-постоянного действия;

регистрацию входа (выхода) администратора межсетевого экрана в систему (из системы) либо загрузки и инициализации системы и ее программного останова (регистрация выхода из системы не проводится в моменты аппаратурного отключения межсетевого экрана);

контроль целостности своей программной и информационной части;

фильтрацию пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств;

восстановление свойств межсетевого экрана после сбоев и отказов оборудования;

регламентное тестирование реализации правил фильтрации, процесса идентификации и аутентификации администратора межсетевого экрана, процесса регистрации действий администратора межсетевого экрана, процесса контроля за целостностью программной и информационной части, процедуры восстановления.

Межсетевые экраны, которые обеспечивают выполнение указанных выше функций, применяются в распределенных информационных системах 2 и 1 классов при их разделении на отдельные части.

При разделении информационной системы при помощи межсетевых экранов на отдельные части системы для указанных частей системы может устанавливаться более низкий класс, чем для информационной системы в целом.

3. Методы и способы защиты информации от несанкционированного доступа, обеспечивающие функции управления доступом, регистрации и учета, обеспечения целостности и безопасного межсетевого взаимодействия для информационных систем 2 класса.

3.1. Для информационных систем

2 класса при однопользовательском режиме обработки персональных данных применяются все методы и способы защиты информации от несанкционированного доступа, соответствующие информационным системам 3 класса при однопользовательском режиме обработки.

3.2. Для информационных систем

2 класса при многопользовательском режиме обработки персональных данных и равных правах доступа к ним пользователей применяются все методы и способы защиты информации от несанкционированного доступа, соответствующие информационным системам 3 класса при многопользовательском режиме обработки персональных данных и равных правах доступа к ним пользователей.

3.3. Для информационных систем

2 класса при многопользовательском режиме обработки персональных данных и разных правах доступа к ним пользователей реализуются все методы и способы защиты информации от несанкционированного доступа, соответствующие информационным системам 3 класса при многопользовательском режиме обработки персональных данных и разных правах доступа к ним пользователей.

3.4. Безопасное межсетевое взаимодействие для информационных систем

2 класса при их подключении к сетям международного информационного обмена достигается путем применения средств межсетевого экранирования, которые обеспечивают:

фильтрацию на сетевом уровне независимо для каждого сетевого пакета (решение о фильтрации принимается на основе сетевых адресов отправителя и получателя или на основе других эквивалентных атрибутов);

фильтрацию пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств;

фильтрацию с учетом входного и выходного сетевого интерфейса как средства проверки подлинности сетевых адресов;

фильтрацию с учетом любых значимых полей сетевых пакетов;

регистрацию и учет фильтруемых пакетов (в параметры регистрации включаются адрес, время и результат фильтрации);

идентификацию и аутентификацию администратора межсетевого экрана при его локальных запросах на доступ по идентификатору (коду) и паролю условно-постоянного действия;

регистрацию входа (выхода) администратора межсетевого экрана в систему (из системы) либо загрузки и инициализации системы и ее программного останова (регистрация выхода из системы не проводится в моменты аппаратурного отключения межсетевого экрана);

регистрацию запуска программ и процессов (заданий, задач);

контроль целостности своей программной и информационной части;

восстановление свойств межсетевого экрана после сбоев и отказов оборудования;

регламентное тестирование реализации правил фильтрации, процесса регистрации, процесса идентификации и аутентификации администратора межсетевого экрана, процесса регистрации действий администратора межсетевого экрана, процесса контроля за целостностью программной и информационной части, процедуры восстановления.

4. Методы и способы защиты информации от несанкционированного доступа, обеспечивающие функции управления доступом, регистрации и учета, обеспечения целостности и безопасного межсетевого взаимодействия для информационных систем 1 класса.

4.1. Для информационных систем

1 класса при однопользовательском режиме обработки персональных данных применяются следующие основные методы и способы защиты информации:

а) управление доступом:

идентификация и проверка подлинности пользователя при входе в систему по паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов;

б) регистрация и учет:

регистрация входа (выхода) пользователя в систему (из системы), либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы, результат попытки входа (успешная или неуспешная);

регистрация выдачи печатных (графических) документов на бумажный носитель. В параметрах регистрации указываются дата и время выдачи (обращения к подсистеме вывода), краткое содержание документа (наименование, вид, код), спецификация устройства выдачи (логическое имя (номер) внешнего устройства);

учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета;

дублирующий учет защищаемых носителей информации;

очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти информационной системы и внешних носителей информации;

в) обеспечение целостности:

обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность программных средств проверяется при загрузке системы по наличию имен (идентификаторов) компонентов средств защиты информации, а целостность программной среды обеспечивается отсутствием в информационной системе средств разработки и отладки программ;

физическая охрана технических средств информационных систем (устройств и носителей информации), предусматривающая постоянное наличие охраны территории и здания;

периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа;

наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности.

4.2. Для информационных систем

1 класса при многопользовательском режиме обработки персональных данных и равных правах доступа к ним пользователей применяются следующие основные методы и способы защиты информации:

а) управление доступом:

идентификация и проверка подлинности пользователя при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов;

идентификация технических средств информационных систем и каналов связи, внешних устройств информационных систем по их логическим адресам (номерам);

идентификация программ, томов, каталогов, файлов, записей, полей записей по именам;

б) регистрация и учет:

регистрация входа (выхода) пользователя в систему (из системы), либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы, результат попытки входа (успешная или неуспешная), идентификатор (код или фамилия) пользователя, предъявленный при попытке доступа;

регистрация выдачи печатных (графических) документов на бумажный носитель. В параметрах регистрации указываются дата и время выдачи (обращения к подсистеме вывода), спецификация устройства выдачи (логическое имя (номер) внешнего устройства), краткое содержание документа (наименование, вид, шифр, код), идентификатор пользователя, запросившего документ;

регистрация запуска (завершения) программ и процессов (заданий, задач), предназначенных для обработки персональных данных. В параметрах регистрации указываются дата и время запуска, имя (идентификатор) программы (процесса, задания), идентификатор пользователя, запросившего программу (процесс, задание), результат запуска (успешный, неуспешный);

регистрация попыток доступа программных средств (программ, процессов, задач, заданий) к защищаемым файлам. В параметрах регистрации указываются дата и время попытки доступа к защищаемому файлу с указанием ее результата (успешная, неуспешная), идентификатор пользователя, спецификация защищаемого файла;

регистрация попыток доступа программных средств к дополнительным защищаемым объектам доступа (терминалам, техническим средствам, узлам сети, линиям (каналам) связи, внешним устройствам, программам, томам, каталогам, файлам, записям, полям записей). В параметрах регистрации указываются дата и время попытки доступа к защищаемому объекту с указанием ее результата (успешная, неуспешная), идентификатор пользователя, спецификация защищаемого объекта (логическое имя (номер));

учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета с отметкой об их выдаче (приеме);

дублирующий учет защищаемых носителей информации;

очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти информационных систем и внешних носителей информации;

в) обеспечение целостности:

обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность системы защиты персональных данных проверяется при загрузке системы по наличию имен (идентификаторов) ее компонент, а целостность программной среды обеспечивается отсутствием в информационной системе средств разработки и отладки программ;

физическая охрана технических средств информационной системы (устройств и носителей информации), предусматривающая постоянное наличие охраны территории и здания;

периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа;

наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности.

4.3. Для информационных систем

1 класса при многопользовательском режиме обработки персональных данных и разных правах доступа к ним пользователей применяются следующие основные методы и способы защиты информации:

а) управление доступом:

идентификация и проверка подлинности пользователя при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов;

идентификация терминалов, технических средств, узлов сети, каналов связи, внешних устройств по логическим именам;

идентификация программ, томов, каталогов, файлов, записей, полей записей по именам;

контроль доступа пользователей к защищаемым ресурсам в соответствии с матрицей доступа;

б) регистрация и учет:

регистрация входа (выхода) пользователей в систему (из системы), либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или останова не проводится в моменты аппаратурного отключения информационной системы. В параметрах регистрации указываются дата и время входа (выхода) пользователя в систему (из системы) или загрузки (останова) системы, результат попытки входа (успешная или неуспешная), идентификатор (код или фамилия) пользователя, предъявленный при попытке доступа, код или пароль, предъявленный при неуспешной попытке;

регистрация выдачи печатных (графических) документов на бумажный носитель. В параметрах регистрации указываются дата и время выдачи (обращения к подсистеме вывода), спецификация устройства выдачи (логическое имя (номер) внешнего устройства), краткое содержание документа (наименование, вид, шифр, код), идентификатор пользователя, запросившего документ;

регистрация запуска (завершения) программ процессов (заданий, задач), предназначенных для обработки персональных данных. В параметрах регистрации указываются дата и время запуска, имя (идентификатор) программы (процесса, задания), идентификатор пользователя, запросившего программу (процесс, задание), результат запуска (успешный, неуспешный);

регистрация попыток доступа программных средств (программ, процессов, задач, заданий) к защищаемым файлам. В параметрах регистрации указываются дата и время попытки доступа к защищаемому файлу с указанием ее результата (успешная, неуспешная), идентификатор пользователя, спецификация защищаемого файла;

регистрация попыток доступа программных средств к дополнительным защищаемым объектам доступа (терминалам, техническим средствам, узлам сети, линиям (каналам) связи, внешним устройствам, программам, томам, каталогам, файлам, записям, полям записей). В параметрах регистрации указываются дата и время попытки доступа к защищаемому объекту с указанием ее результата (успешная, неуспешная), идентификатор пользователя, спецификация защищаемого объекта (логическое имя (номер));

учет всех защищаемых носителей информации с помощью их маркировки и занесение учетных данных в журнал учета с отметкой об их выдаче (приеме);

очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти информационной системы и внешних накопителей;

в) обеспечение целостности:

обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды. При этом целостность системы защиты персональных данных проверяется при загрузке системы по контрольным суммам компонентов системы защиты, а целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ в процессе обработки и (или) хранения персональных данных;

физическая охрана технических средств информационной системы (устройств и носителей информации), предусматривающая контроль доступа в помещения посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения и хранилище носителей информации;

периодическое тестирование функций системы защиты персональных данных при изменении программной среды и пользователей информационной системы с помощью тест-программ, имитирующих попытки несанкционированного доступа;

наличие средств восстановления системы защиты персональных данных, предусматривающих ведение двух копий программных компонентов средств защиты информации, их периодическое обновление и контроль работоспособности.

4.4. Безопасное межсетевое взаимодействие для информационных систем

1 класса при их подключении к сетям международного информационного обмена достигается путем применения средств межсетевого экранирования, которые обеспечивают выполнение следующих функций:

фильтрацию на сетевом уровне для каждого сетевого пакета независимо (решение о фильтрации принимается на основе сетевых адресов отправителя и получателя или на основе других эквивалентных атрибутов);

фильтрацию пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств;

фильтрацию с учетом входного и выходного сетевого интерфейса как средства проверки подлинности сетевых адресов;

фильтрацию с учетом любых значимых полей сетевых пакетов;

фильтрацию на транспортном уровне запросов на установление виртуальных соединений с учетом транспортных адресов отправителя и получателя;

фильтрацию на прикладном уровне запросов к прикладным сервисам с учетом прикладных адресов отправителя и получателя;

фильтрацию с учетом даты и времени;

аутентификацию входящих и исходящих запросов методами, устойчивыми к пассивному и (или) активному прослушиванию сети;

регистрацию и учет фильтруемых пакетов (в параметры регистрации включаются адрес, время и результат фильтрации);

регистрацию и учет запросов на установление виртуальных соединений;

локальную сигнализацию попыток нарушения правил фильтрации;

идентификацию и аутентификацию администратора межсетевого экрана при его локальных запросах на доступ по идентификатору (коду) и паролю условно-постоянного действия;

предотвращение доступа неидентифицированного пользователя или пользователя, подлинность идентификации которого при аутентификации не подтвердилась;

идентификацию и аутентификацию администратора межсетевого экрана при его удаленных запросах методами, устойчивыми к пассивному и активному перехвату информации;

регистрацию входа (выхода) администратора межсетевого экрана в систему (из системы) либо загрузки и инициализации системы и ее программного останова (регистрация выхода из системы не проводится в моменты аппаратурного отключения межсетевого экрана);

регистрацию запуска программ и процессов (заданий, задач);

регистрацию действия администратора межсетевого экрана по изменению правил фильтрации;

возможность дистанционного управления своими компонентами, в том числе возможность конфигурирования фильтров, проверки взаимной согласованности всех фильтров, анализа регистрационной информации;

контроль целостности своей программной и информационной части;

контроль целостности программной и информационной части межсетевого экрана по контрольным суммам;

восстановление свойств межсетевого экрана после сбоев и отказов оборудования;

регламентное тестирование реализации правил фильтрации, процесса регистрации, процесса идентификации и аутентификации запросов, процесса идентификации и аутентификации администратора межсетевого, экрана, процесса регистрации действий администратора межсетевого экрана, процесса контроля за целостностью программной и информационной части, процедуры восстановления.

5. Анализ защищенности проводится для распределенных информационных систем и информационных систем, подключенных к сетям международного информационного обмена, путем использования в составе информационной системы программных или программно-аппаратных средств (систем) анализа защищенности.

Средства (системы) анализа защищенности должны обеспечивать возможность выявления уязвимостей, связанных с ошибками в конфигурации программного обеспечения информационной системы, которые могут быть использованы нарушителем для реализации атаки на систему.

6. Обнаружение вторжений проводится для информационных систем, подключенных к сетям международного информационного обмена, путем использования в составе информационной системы программных или программно-аппаратных средств (систем) обнаружения вторжений.

7. Для информационных систем 1 класса применяется программное обеспечение средств защиты информации, соответствующее 4 уровню контроля отсутствия недекларированных возможностей.


Источник: http://www.rg.ru/2010/03/05/dannye-dok.html

Персональные данные погибших в войне

Российский историк Михаил Супрун и полковник милиции Александр Дударев начали исследовать судьбы советских немцев, заключенных в тюрьмы во время Второй мировой войны, но попали под уголовное преследование. Это дело вызвало резонанс в Германии и других странах Европы - там посчитали, что имеют дело с «кремлевской попыткой реабилитировать Сталина». Однако причина тому - абсурды современного российского законодательства, согласно которому судить надо не только ученых-историков, но и создателей Книг памяти, в которых перечислены погибшие в Великой Отечественной войне.

Книги памяти «вне закона»?

Международный скандал учинило УФСБ России по Архангельской области. Все началось с того, что чекисты стали «разрабатывать» профессора - известного исследователя истории сталинских репрессий Михаила Супруна. Завкафедрой отечественной истории Архангельского Поморского госуниверситета тихо-мирно работал над очередным проектом - «Этнические российские немцы, репрессированные в 40-е годы» и его продолжением «Немецкие военнопленные на русском Севере».

Эти труды создавались на основе договора между Красным Крестом Германии, начальником УВД Архангельской области и ректором Поморского университета. Так как материалы дел спецпереселенцев хранятся в архиве информационного центра при УВД по Архангельской области, то историку помогал начальник этого центра - полковник Александр Дударев, он обеспечивал доступ в архив.

В общем, ничего особенного, составлением Книг памяти давно занимаются во всем мире. В том числе и в Архангельской области: исторический проект там инициировала местная прокуратура еще 10 лет назад - уже опубликованы семь томов Книги памяти! В частности, полковник Дударев помогал составлять Книгу памяти репрессированных поляков.

Супрун работал над российско-немецким проектом с 2007 года. К осени 2009-го он уже собрал данные почти о 5 тысячах спецпереселенцев. Но 13 сентября машину профессора перехватили на шоссе. Сотрудник ФСБ усадил Супруна в свое авто и отвез к следователю. Оказалось, что нашелся человек, который заявил на ученого в органы, поскольку не хочет видеть в Книге памяти данные о своих родственниках. Чекисты провели обыски дома и на работе у Супруна, его аспирантки и полковника Дударева, изъяли документы и все компьютеры. Научное сообщество было шокировано.

По материалам чекистской проверки местное следственное управление СКП возбудило уголовное дело. Профессор Супрун подозревается в «незаконном сборе сведений о частной жизни лица», а также в «подстрекательстве должностного лица» к превышению полномочий. По версии следователя Владимира Шевченко, ученый Супрун «умышленно путем уговоров склонил начальника ИЦ УВД полковника Александра Дударева обеспечить ему доступ» к архивным документам. Самого Дударева подозревают в превышении должностных полномочий. Проект Супруна свернули. Дударев был вынужден написать заявление об уходе из органов по собственному желанию.

Спустя два месяца дело из Архангельска передали «наверх» - в Следственный отдел СКП по Северо-Западу. Прошло полгода, а следствие до сих пор не может сформулировать и предъявить обвинение подозреваемым. Историки, архивисты со всего мира недоумевают. Марианне Биртлер, уполномоченная по архивам «Штази» в Германии, даже написала письмо президенту Медведеву, в котором прямо заявила, что органы России мешают «разъяснению трагической судьбы тысяч российских немцев в ГУЛАГе на Северо-Западе Советского Союза… Это производит впечатление запугивания людей, которые хотят пролить свет на тьму памяти о времени сталинизма и напомнить о его жертвах.

В наши дни, когда «Архипелаг ГУЛАГ» Александра Солженицына по инициативе властей должен стать обязательным для чтения в российских средних школах, стиль действий российских спецслужб воспринимается чудовищным анахронизмом». Британская газета The Guardian подхватила: «Это дополняет кремлевские попытки реабилитировать Сталина и пресечь независимое историческое исследование - политические репрессии в советский период и жертвы системы ГУЛАГа теперь запретные темы».

Роль «личности» в истории

Любопытно, как следствие будет выпутываться из этого парадоксального дела. По логике, издание любой Книги памяти (коих сотни) - уголовно наказуемое деяние. Ведь там содержится информация о «личной семейной тайне» гражданина, его персональные данные, которые берутся без его согласия. Но такие сборники публикуются по всей стране. Более того, Закон о реабилитации жертв политических репрессий (статья 18) даже предписывает публиковать эти списки в обязательном порядке! В регионах составление этих книг курируют, в том числе, МВД, ФСБ и обязательно прокуратура.

- Если профессор совершил, как считает следствие, уголовное преступление, собрав «сведения о частной жизни пяти тысяч спецпереселенцев», то общество «Мемориал», которое уже в течение двадцати лет собирает и публикует биографические справки и списки жертв политического террора в СССР, совершает это «преступление» систематически, - говорят в обществе «Мемориал», которое вызвалось помочь архангельскому коллеге.

- Недостаточно доказать, что велся сбор сведений о частной жизни лица, надо еще доказать, что эти сведения составляли его «личную, семейную тайну». Определения этих понятий в законе нет. Прописана разве что тайна усыновления, а о других личных тайнах ничего не расписано, - рассказывает адвокат фигурантов дела Иван Павлов. - Сам факт репрессии - депортации, ссылки, реабилитация и иные действия следственных органов и правосудия - не является сведениями о частной жизни лиц, поскольку касается действий публичных государственных органов власти! Поэтому сбор таких сведений не может рассматриваться как нарушение конституционных прав, на которые «налегает» следствие.

Еще один нюанс. Формально дело было возбуждено не по факту, а по заявлению. Заявителем оказался Иван Филипп, который не хотел, чтобы информация об его родителях была в Книге памяти. По логике, если тысячи родственников ринутся в органы с заявлением, что личная тайна их родственника нарушена в одной из сотен Книг памяти, в стране появятся сотни уголовных дел в отношении историков.

Однако полковник Дударев, приезжавший недавно в Петербург, заявил, что считает, что это дело возбуждено по заявлению гражданина Филиппа лишь формально, а инициировано оно «из Москвы».
- Раньше у меня были сомнения, но теперь я вижу, как дело намеренно затягивается, как его передали на уровень выше. Все это подтверждает: была команда из Москвы, - сказал Александр Дударев.

Он также заметил, что следствие уже предлагало прекратить дело за примирением сторон. Но подозреваемые отказались - ведь формально такой исход их не реабилитирует.
Гриф секретности без срока давности

Проблема еще в том, что российские законы противоречат друг другу. В законе «Об архивной деятельности» (статья 25) действительно прописаны ограничения на доступ к архивным документам, «содержащим сведения о личной и семейной тайне гражданина, его частной жизни, а также сведения, создающие угрозу для его безопасности, - на срок 75 лет со дня создания документов». Подлил масла в огонь и закон «О персональных данных».

- Но при этом нигде нет четкого понятия, что же это такое - «сведения о личной и семейной тайне гражданина, его частной жизни». Такая ситуация позволяет архивным работникам подводить под «тайну личной и семейной жизни» практически все архивы. И это главная проблема, - говорит юрист Института развития свободы информации Дарья Назарова. - Но с другой стороны, есть указ президента от 1993 года, где говорится, что информация, представляющая общественный интерес, должна быть открытой! Историческая информация, разумеется, такой интерес представляет.

Сегодня, по мнению юриста, благодаря ущербному законодательству исследователям отказывают во многих архивах госорганов. Особенно в этом преуспел Центральный архив Министерства обороны, где сконцентрирована большая часть документов времен Великой Отечественной войны. В ноябре прошлого года, по данным Назаровой, сотрудникам архива спущено указание ограничивать доступ исследователей даже к несекретным документам, содержащим «негативные сведения» о военнослужащих вооруженных сил.

Другая проблема - необоснованное засекречивание документов. Минобороны не снимает гриф секретности даже с тех дел, по которым срок секретности (а это 30 лет) давно прошел.
Надежда поправить ситуацию связана с новым законом «Об обеспечении доступа к информации о деятельности госорганов и органов местного самоуправления», который начал действовать с 1 января этого года. Юристы одобряют его, но подчеркивают, что главное в России - не законы, а практика их применения. Ведь сегодня получается, что закон «О персональных данных» превратился в инструмент для уголовного преследования неугодных исследователей, архивистов, историков. Достаточно найти «недовольного» родственника.

- Мое дело политическое, я уверен, что заявителя Филиппа специально «нашли», - рассказал Михаил Супрун «Тайному советнику». - За несколько месяцев до возбуждения уголовного дела я обращался в местные ФСБ и СКП с просьбой подключиться к нашему проекту, ведь одни мы могли его не потянуть. Но они отказались от сотрудничества, наверное, уже тогда взяли нас в разработку. А сегодня работники архивов уже перестраховываются и ограничивают доступ к документам.

Источник: http://www.fontanka.ru/2010/03/02/066/